【問題】 個人情報の漏洩防止について、裁判所は会社にどの程度の対応を求めているのか。
【結論】 会社は、個人情報の漏洩対策として、各省庁の対策基準及びガイドライン等、ＪＩＳＱ並びにＩＰＡのガイドラインに規定されている対策事項に沿った対応をする必要があると考えられる。
１．はじめに
個人情報の漏洩防止について、裁判所は会社にどの程度の対応を求めているのか。
この点について、ベ社の個人情報漏洩事件の差戻審を検討する。
２．事案の概要
ベ社が管理していた顧客の個人情報が、ベ社から委託を受けて個人情報を分析するシステムの開発をしていたＡ社の従業員Ｂにより外部に持ち出されて漏洩したという事案である。
Ｂは、ベ社のサーバコンピュータにＡ社から貸与された業務用ＰＣからアクセするためのＩＤ及びパスワードを付与されていた。
Ｂは、Ａ社事業所内の執務室において、２度にわたり、業務用ＰＣを操作して、ベ社のサーバコンピュータにアクセスし、約２９８９万件の受講者の個人情報のデータをダウンロードして業務用ＰＣに保存し、これとＵＳＢケーブルで接続した自己のスマホ（Android4.1。MTP(Media Transfer Protocol)対応）の内蔵メモリとマイクロＳＤカードにコピーするという手段で個人情報を持ち出した。
Ａ社が導入していた書出し制御措置は、漏洩当時、ＭＴＰ対応スマホに対しては有効に書出しを制御できていなかった。
Ａ社の不法行為責任及び使用者責任ベ社の使用者責任の有無が問題となった。
３．裁判所の判断
（１）Ａ社の過失
裁判所は、Ａ社の過失を認めた。
理由の一部を見てみると、各省庁の対策基準及びガイドライン等、ＪＩＳＱ並びにＩＰＡのガイドラインに規定されている対策事項を根拠に、MTP対応スマホを利用した個人情報の不正取得に対する予見可能性を肯定していることが分かる。
そして、MTP対応スマホを利用した個人情報の不正取得を予見することが可能であったのであるから、スマートフォンの持込み禁止の措置を採るべきであったとして、Ａ社の過失を認めた。
ア 予見可能性
「ア(ア) 証拠（甲７，８，１６，１９，２１）によれば，①安全対策基準（旧通商産業省の平成９年のもの） は，情報システムの利用者が実施する対策項目を列挙し，「情報等の運用に関連する各室の搬出入物は，必要な物に限定するとともに，その内容を確認し，記録をとること」と記載されていたこと，②平成１８年のＪＩＳＱ１５００１及び平成２２年のマネジメントシステム実施ガイドライン においては，「事業者は，その取り扱う個人情報のリスクに応じて，漏えい，滅失又はき損の防止その他の個人情報の安全管理のために必要かつ適切な措置を講じなければならない。」と規定し，その対策として，個人情報の取得・入力及び利用・加工の各場面において，外部記録媒体を接続できないようにすることが掲げられていたこと，③平成２１年の経済産業分野ガイドライン には，「個人データを入力できる端末に付与する機能の業務上の必要性に基づく限定（例えば，個人データを入力できる端末では，ＣＤ－Ｒ，ＵＳＢメモリ等の外部記録媒体を接続できないようにする。）」が望ましいと規定されていたこと，④平成２５年の内部不正防止ガイドライン においては，「重要情報を取り扱う業務フロア内の領域に個人の情報機器及び記録媒体を持ち込まれると，個人の情報機器や記録媒体に重要情報を格納して持ち出される恐れがあること」がリスクとして具体的に指摘されており，その対策として，重要情報の格納サーバやアクセス管理サーバ等が設置されているサーバルームでは，個人所有のノートＰＣやタブレット端末，スマートフォン等のモバイル機器の持込み・利用を厳しく制限すること，個人所有のＵＳＢメモリ等の携帯可能な記録媒体等の持込みを制限し，記録媒体等の利用は会社貸与品のみとすること，重要情報を扱う物理的区画内の行動についてはカメラ等で監視するとともに監視している旨を伝えることが記載されていたこと，⑤平成２５年のデータセンターセキュリティガイドブック においては，データセンターにおけるＵＳＢメモリ等の情報記録媒体や携帯電話の持込み・持ち出し制限及び画像監視システムがセキュリティ対策として挙げられていたことが認められ，これらによれば，本件漏えい以前から，外部記録媒体をパソコン等に接続する方法による情報漏えいのリスクが指摘されていたことが認められる。」
（大阪高判Ｒ１．１１．２０【一部抜粋】）
イ 結果回避義務
「ア スマートフォンの持込み禁止
（大阪高判Ｒ１．１１．２０【一部抜粋】）
（２）ベネッセ社の過失
裁判所はベネッセ社の過失も認めた。
予見可能性については、Ａ社の場合と同様の理由で肯定した。
結果回避義務については、業務委託者であるベ社に、委託先選任及び監督にかかる注意義務違反があったという視点からこれを認めた。
「そして，以上によれば，大量の個人情報の運用管理を株式会社Ａに委託していた被控訴人には，本件漏えい当時，個人情報の管理について，委託先に対する適切な指導監督をすべき注意義務があったところ，前記(1)記載のとおり，被控訴人は，本件漏えい当時，本件漏えいの方法による個人情報の漏えいの危険性を予見し得たにもかかわらず，株式会社Ａに対し，本件セキュリティソフトがＭＴＰ対応スマートフォンに対する書出し制御機能等を備えているか否か，株式会社Ａの業務委託先の従業員が，被控訴人が管理する個人情報にアクセスすることができる業務用ＰＣのＵＳＢポートに個人の所有するスマートフォンを接続できる状況にあったかどうかについて適切に報告を求めていなかったもので，これらについて適切に指導監督を行っていれば，ＭＴＰ対応スマートフォンに対する書出し制御機能に対応したセキュリティソフトへの変更を指示するか，あるいは，本件セキュリティソフトのままであっても，ＭＴＰ対応スマートフォン（ＷＰＤデバイス）に対する使用制御措置を採るように指示することができたものであり，それが困難であったとしても，株式会社Ａに対し，業務委託先の従業員が本件個人情報を含む大量の個人情報に接することができる執務室内に，個人のスマートフォンを持ち込むことを禁止するよう指示することができたというべきで，このような指導監督を行うことについて，被控訴人に過度の負担が生じるということはなかったと認められる。
そうすると，被控訴人には，本件漏えい当時，株式会社Ａにおける被控訴人の有する個人情報の管理につき，セキュリティソフトの変更やＷＰＤデバイスの使用制御措置の設定変更，執務室内への個人スマートフォンの持込み禁止について適切に監督をすべき注意義務があったというべきであり，それにもかかわらず，被控訴人は，本件漏えい当時，これらについて指示することなく放置していた結果，本件漏えいを回避することができなかったのであるから，上記注意義務に違反したといわざるを得ない。なお，経済産業大臣作成の平成２６年９月２６日付け「個人情報の保護に関する法律第３４条第１項の規定に基づく勧告について」と題する書面においても，被控訴人が，株式会社Ａに対して行う定期的な監査において，当該情報システムの対象範囲を監査の対象としていなかった等，委託先に対する必要かつ適切な監視を怠っていたことが同法２２条に反すると指摘されている（甲２４の２）。」
（大阪高判Ｒ１．１１．２０【一部抜粋】）
４．まとめ
情報漏洩対策としてどの程度のことまで行うべきであるかという議論はあるものの、会社の過失の有無を判断するにあたり、裁判所が各省庁の対策基準及びガイドライン等、ＪＩＳＱ並びにＩＰＡのガイドラインを一つの拠り所にしていることは明らかである。
裁判官は情報セキュリティの専門家ではないため、専門家により作成されたこれらの資料に頼らざるを得ないのだろうと思われる。
個人情報の漏洩対策としては、少なくとも、これらの資料の内容に沿った対応を採る必要があると考えられる。
